Sencha Ajax请求为何不发送/存储Sails服务器返回的会话Cookie？

我之前也踩过Sencha 6.5现代版里Cookie处理的坑，结合你描述的情况——Postman能正常跑通登录、自动带Cookie，但是Sencha里不行——大概率是请求没有正确配置Cookie携带规则，或者后端的CORS设置和Sencha的请求不匹配，给你梳理几个排查和解决的方向：

1. 开启Ajax请求的withCredentials属性 #

HttpOnly Cookie是由浏览器自动管理的，但Sencha的Ext.Ajax默认不会开启withCredentials，这会导致浏览器拒绝把Cookie发送给后端。你需要全局或者单个请求里启用这个配置：

全局配置（推荐，避免每个请求重复设置） #

在你的app.js里添加以下代码，确保所有Ajax请求都携带Cookie：

// 全局设置Ajax默认头
Ext.Ajax.setDefaultHeaders({
    'X-Requested-With': 'XMLHttpRequest'
});
// 开启跨域（或同域）携带凭证
Ext.Ajax.setWithCredentials(true);

单个登录请求配置 #

如果只想给登录请求单独设置，就在POST请求里加上withCredentials: true：

Ext.Ajax.request({
    url: 'localhost:1337/api/user/login',
    method: 'POST',
    withCredentials: true,
    // 注意：如果后端期望JSON格式的请求体，用jsonData；如果是表单格式，用params
    jsonData: {
        username: 'your-username',
        password: 'your-password'
    },
    success: function(response) {
        // 处理登录成功逻辑
        console.log('登录成功，Cookie已由浏览器保存');
    },
    failure: function(response) {
        // 处理登录失败逻辑
        console.error('登录失败：', response.responseText);
    }
});

⚠️ 注意：开启withCredentials后，后端必须在响应头里设置两个关键字段：

• Access-Control-Allow-Credentials: true
• Access-Control-Allow-Origin不能是*，必须是你的Sencha应用运行的具体域名（比如http://localhost:8080）

2. 匹配后端期望的请求体格式 #

Postman默认会自动适配请求体格式，但Sencha的Ext.Ajax默认用表单格式（application/x-www-form-urlencoded），如果后端需要JSON格式，你得手动设置请求头和请求体：

Ext.Ajax.request({
    url: 'localhost:1337/api/user/login',
    method: 'POST',
    withCredentials: true,
    headers: {
        'Content-Type': 'application/json'
    },
    jsonData: {
        username: 'your-username',
        password: 'your-password'
    },
    // ... 回调函数
});

3. 验证后续请求的Cookie携带 #

登录成功后，后续接口请求同样需要开启withCredentials（全局配置的话就不用重复写了）。你可以打开浏览器的开发者工具 -> Network面板，查看请求头里是否有Cookie字段，对比Postman的请求头，确认Cookie是否被正确携带。

如果Cookie存在但后端没识别已登录状态，检查浏览器Application面板 -> Storage -> Cookies里的Cookie属性：

• 确认Path是否和请求路径匹配（比如后端设置的Path是/api，你的请求路径是/api/user/info就没问题）
• 确认Domain是否正确（如果是同域请求，一般不需要特殊设置）

4. 处理预检请求（OPTIONS） #

如果你的Sencha应用和后端是跨域的，浏览器会先发送OPTIONS预检请求，后端需要正确处理这个请求，返回允许的请求方法、头信息等CORS配置，否则后续的POST登录请求会被拦截。

你可以先从开启withCredentials开始排查，同时用开发者工具对比Postman和Sencha的请求头、响应头，找出差异点——这类问题大多是请求配置没跟上浏览器的Cookie安全规则导致的。

内容的提问来源于stack exchange，提问作者paul23